Supabase в России в 2026 году: что работает, что нет и что делать

27 сентября 2026 · 11 мин чтения · Данные и 152-ФЗ, пункты 13, 17

Коротко: на сентябрь 2026 года официальной блокировки Supabase в России нет, но API проектов работает через Cloudflare, а трафик к Cloudflare российские провайдеры ограничивают с июня 2025 года, поэтому часть запросов может обрываться. Платный тариф российской картой не оплатить: Supabase принимает только банковские карты, а карты российских банков за рубежом не работают. Для проектов с российскими пользователями серьёзнее всего ограничение по 152-ФЗ: с 1 июля 2025 года закон прямо запрещает записывать и хранить персональные данные граждан РФ в зарубежных базах, а российского региона у Supabase Cloud нет. Такие данные придётся держать на сервере в России: в self-hosted Supabase или в управляемом PostgreSQL российского облака.

Работает ли Supabase в России

У Supabase несколько точек доступа, и проверять их стоит по отдельности:

  • дашборд на supabase.com, где вы управляете проектом;
  • API проекта по адресу вида <ref>.supabase.co, куда обращается ваше приложение: база данных через REST, авторизация, файлы, функции;
  • прямое подключение к PostgreSQL, которое используют миграции и серверный код.

Официальных сообщений Роскомнадзора или Supabase об ограничении доступа для пользователей из России мы не нашли. В условиях использования Supabase есть общий пункт об экспортном контроле США: клиент не должен делать сервис доступным из юрисдикций, куда экспорт запрещён. Отдельной политики в отношении России в документах Supabase нет.

Сетевые проблемы при этом есть. API проектов Supabase проходит через Cloudflare, это видно из раздела документации про ошибки 520. Cloudflare 26 июня 2025 года сообщила, что с 9 июня российские провайдеры ограничивают трафик к её сети: пользователь из России получает только первые 16 КБ каждого ответа. Ограничение действует для HTTP/1.1, HTTP/2 и HTTP/3.

Для приложения на Supabase это значит, что короткие запросы могут проходить, а длинные списки записей и картинки обрываются. Пользователи на Хабре описывали такую картину ещё в мае 2025 года, другие в том же обсуждении писали, что у них всё работает. Проверенных данных о ситуации на сентябрь 2026 года нет, поэтому проверьте свой проект сами.

Как проверить свой проект

  1. Откройте приложение из обычной российской сети, такой же, как у ваших пользователей.
  2. В инструментах разработчика браузера на вкладке Network найдите запросы к <ref>.supabase.co. Заголовки ответа server: cloudflare и cf-ray означают, что запрос идёт через Cloudflare.
  3. Выполните действие, которое возвращает больше 16 КБ: список из нескольких сотен строк или загрузку изображения. Если маленькие ответы приходят, а большие зависают или обрываются, проблема в этом ограничении.
  4. Повторите проверку с мобильного интернета и с домашнего провайдера: результат у разных операторов может отличаться.

Есть ли у Supabase регион в России

Нет. В Supabase Cloud 17 конкретных регионов AWS в Северной и Южной Америке, Европе и Азиатско-Тихоокеанском регионе, плюс три общих региона: Americas, Europe, APAC. Российского среди них нет. Для требований о локализации данных это главный факт, о нём ниже.

Почему не проходит оплата Supabase из России

Проблемы с оплатой к сетевому доступу отношения не имеют. Бесплатный тариф Supabase даёт до двух активных проектов, карта нужна для платных тарифов.

Что говорит документация Supabase:

Карты российских банков за рубежом не работают с 2022 года. Visa 5 марта 2022 года объявила, что транзакции по картам, выпущенным в России, перестанут проходить за пределами страны. Поэтому оплатить Supabase российской картой не получится.

Что будет, если платёж не пройдёт. По тому же FAQ, при просроченном счёте Supabase ставит проекты организации на паузу и переводит её на бесплатный тариф. Проекты можно восстановить после оплаты задолженности. Для работающего продукта это остановка сервиса.

Посредников для оплаты мы не рекомендуем и не разбираем. Если продукт собирает персональные данные россиян, оплата уже вторична: такие данные в Supabase Cloud хранить нельзя.

Можно ли хранить персональные данные россиян в Supabase Cloud

Нельзя, если вы собираете их напрямую в Supabase Cloud.

Персональные данные по п. 1 ст. 3 152-ФЗ — любая информация, относящаяся к прямо или косвенно определённому или определяемому человеку. В типичном проекте на Supabase это таблица auth.users с email и телефонами, профили, заказы, заявки из форм, загруженные документы и фотографии.

Что изменилось в ч. 5 ст. 18 152-ФЗ в 2025 году

С 1 июля 2025 года действует новая редакция ч. 5 ст. 18 152-ФЗ, её ввёл Федеральный закон от 28.02.2025 № 23-ФЗ:

При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.

Прежняя редакция обязывала использовать базы на территории России. Новая прямо запрещает использовать зарубежные.

Исключения из ч. 1 ст. 6 касаются функций, возложенных законом или международным договором, судопроизводства, государственных и муниципальных услуг, журналистики, научной и творческой деятельности. Согласие пользователя (п. 1) и исполнение договора с ним (п. 5) в этот список не входят. Обычному сервису, магазину или SaaS исключения не подходят.

Когда пользователь регистрируется через Supabase Auth в облачном проекте, его email записывается в базу за пределами России. Именно это и запрещает ч. 5 ст. 18.

Какие штрафы за нарушение локализации

Ч. 8 ст. 13.11 КоАП наказывает за невыполнение при сборе персональных данных обязанности записывать и хранить данные граждан РФ в базах на территории России:

Кто Первое нарушение (ч. 8) Повторное (ч. 9)
Гражданин 30–50 тыс. руб. 50–100 тыс. руб.
Должностное лицо 100–200 тыс. руб. 500–800 тыс. руб.
Юридическое лицо 1–6 млн руб. 6–18 млн руб.

Можно ли оформить это как трансграничную передачу

Передачу данных за границу регулирует ст. 12 152-ФЗ. До начала передачи оператор обязан уведомить Роскомнадзор (ч. 3) и заранее получить от иностранного получателя сведения о мерах защиты данных (ч. 5). В страны вне перечня государств с «адекватной защитой» данные нельзя передавать, пока Роскомнадзор рассматривает уведомление: на это отводится 10 рабочих дней, и срок приостанавливается, если ведомство запросит дополнительные сведения (ч. 9 и 11). США нет в перечне, утверждённом приказом Роскомнадзора № 128 от 05.08.2022. В ст. 12 вносились изменения Федеральным законом от 26.07.2026 № 265-ФЗ, поэтому актуальную редакцию и перечень проверяйте на дату передачи.

Трансграничная передача не заменяет локализацию. Сначала данные записываются в базу в России, и только после этого их можно передавать за рубеж по правилам ст. 12. Supabase Cloud в роли основной базы для регистрации и форм под этот порядок не подходит.

Что делать проекту на Supabase

Рабочих вариантов три. Они отличаются объёмом переделок и тем, кто отвечает за сервер.

Вариант 1. Оставить в Supabase Cloud только данные, которые не являются персональными

Подходит, если в облаке остаются данные без привязки к людям: каталог товаров, публичные статьи, справочники, настройки, тестовая среда на синтетических данных.

Условия:

  • регистрация и вход российских пользователей работают на сервере в России, в облачном Supabase Auth их нет;
  • формы, заказы и файлы с данными людей сразу пишутся в российскую базу;
  • в облачных таблицах нет полей, по которым запись можно связать с конкретным человеком. Где проходит эта граница для ваших данных, обсудите с юристом.

Минусы: у вас два бэкенда вместо одного, а сетевые сбои из-за ограничений Cloudflare и зависимость от оплаты картой никуда не деваются.

Вариант 2. Развернуть Supabase на своём сервере в России

Supabase распространяется с открытым кодом, и у проекта есть официальная конфигурация Docker Compose для self-hosted установки, то есть на собственном сервере. Вы получаете те же сервисы: базу с REST API, Auth, Storage, Realtime, Edge Functions и панель Studio. Код фронтенда на supabase-js почти не меняется, нужно заменить URL и ключи.

Ограничения по документации Supabase:

  • недоступны ветки (branching), расширенные метрики, управляемые бэкапы и PITR (восстановление на момент времени), аналитические и векторные бакеты, ETL и Management API;
  • одна установка обслуживает один проект;
  • поддержку оказывает только сообщество;
  • обновления, безопасность, резервные копии, мониторинг и отказоустойчивость на вас.

Минимальные требования к серверу: 4 ГБ RAM, 2 ядра, 40 ГБ SSD. Рекомендуемые: от 8 ГБ, 4 ядер и 80 ГБ.

Пошагово перенос описан в статье «Как перенести проект с Supabase Cloud на сервер в России».

Вариант 3. Managed PostgreSQL в российском облаке плюс отдельные авторизация и хранилище

Управляемый PostgreSQL есть у Yandex Cloud, Selectel и Timeweb Cloud. Провайдер разворачивает и обслуживает кластер. Условия резервного копирования и обновлений смотрите в выбранном тарифе.

Для файлов подойдёт S3-совместимое объектное хранилище: HTTP API Yandex Object Storage совместим с Amazon S3, у Timeweb Cloud есть своё S3-хранилище. Серверный код можно вынести в Yandex Cloud Functions или в собственный бэкенд. Авторизацию придётся строить отдельно: в своём бэкенде или на open-source сервере авторизации.

Минусы: переделок здесь больше всего. Вызовы supabase.from(), supabase.auth и supabase.storage во фронтенде нужно заменить обращениями к вашему API. Политики RLS (Row Level Security, построчные права доступа в PostgreSQL), которые опираются на auth.uid(), завязаны на токены Supabase Auth, их тоже придётся пересобрать.

Плюс: за базу, её резервные копии и отказоустойчивость отвечает провайдер.

Связку «self-hosted Supabase поверх управляемого PostgreSQL провайдера» официальная документация Supabase не описывает. Сервисам Supabase нужны особые роли и настройки внутри базы, поэтому такую схему проверяйте на тестовом стенде.

Есть ли российский аналог Supabase

Российского сервиса, который целиком повторяет Supabase (база, авторизация, файлы, realtime и функции в одном проекте), мы не нашли. Российские облака дают отдельные части: управляемый PostgreSQL, S3-хранилища, серверные функции. Timeweb Cloud публикует инструкцию по развёртыванию Supabase на своих серверах. Это установка на виртуальную машину, управляемым сервисом она не является.

Какой вариант выбрать

  • В проекте есть персональные данные россиян и много кода на supabase-js: вариант 2 потребует меньше всего переделок.
  • Персональные данные есть, а обслуживать сервер некому: вариант 3 или вариант 2 с подрядчиком на поддержку.
  • Персональных данных нет: можно остаться в облаке по варианту 1, но заранее продумайте, что делать при сетевых сбоях и проблемах с оплатой.

Остальные требования 152-ФЗ для таких проектов (уведомление Роскомнадзора, политика обработки данных, согласия) разобраны в статье «Проект на Lovable и 152-ФЗ».

Статья не является юридической консультацией.

Если хотите, чтобы проект проверил инженер, оставьте заявку на Кодосмотр.